Управление Уязвимостями и прочее

Напишу несколько слов по поводу атак вражеских беспилотников на дата-центры Яндекса. В ночь с 7 на 8 октября в результате атаки БПЛА был серьёзно повреждён дата-центр Яндекса в Сасово Рязанской области. Утром 9 октября атаке подвергся дата-центр Яндекса в Калуге, несколько модулей которого были выведены из строя. В ночь на 11 октября был атакован дата-центр Яндекса во Владимире, инфраструктура ЦОДа получила повреждения, его работа была полностью остановлена, а часть сервисов Яндекса стала недоступна пользователям. В такой ситуации я, как и всегда, на стороне пострадавшей российской компании. Считаю злорадство по этому поводу абсолютно неадекватным и неприемлемым. Также не думаю, что эта история касается исключительно Яндекса. Другие дата-центры тоже могут стать целями атак. При выборе целей враги учитывают как потенциальный ущерб, так и общественный резонанс. Яндекс - одна из крупнейших технологических компаний России, объединяющая десятки сервисов для миллионов пользователей и бизнес-клиентов - от поиска, карт и такси до доставки, электронной коммерции и облачной инфраструктуры Yandex Cloud. По оценкам iKS-Consulting, Yandex Cloud входит в тройку крупнейших российских провайдеров облачной инфраструктуры IaaS и PaaS. Поэтому атаки на инфраструктуру Яндекса затрагивают не только пользователей его собственных сервисов, но и множество компаний, которые размещают в его облаке свои системы и данные. Хочется надеяться, что эти печальные события произведут отрезвляющий эффект для всей отрасли. Риски физических атак на ЦОДы существовали с самого начала вооружённого конфликта, поэтому учитывать их было необходимо уже давно. Провайдерам услуг обработки данных следует: 🔹 Учитывать физические атаки при проектировании и модернизации ЦОДов, усиливать защиту зданий и инженерных систем. Помимо пассивной защиты, следует рассматривать меры активной защиты от беспилотников, согласованные с уполномоченными органами и соответствующие требованиям законодательства. При этом стоит учитывать Указ Президента РФ № 604, предусматривающий возможность введения временного управления в отношении имущества хозяйствующих субъектов, не обеспечивающих безопасность объектов критической инфраструктуры. 🔹 Развивать географическое резервирование, чтобы потеря одной площадки не приводила к длительной недоступности критичных сервисов. 🔹 Регулярно проверять готовность к полной потере ЦОДа: отрабатывать перенос нагрузки и восстановление сервисов в приемлемые сроки. Потребителям услуг обработки данных следует: 🔸 Проверить, переживут ли сервисы потерю целого ЦОДа провайдера. Резервные копии и мощности должны размещаться на независимых площадках. Для критичных сервисов стоит рассмотреть использование нескольких провайдеров, чтобы отказ одного из них не привёл к остановке всей инфраструктуры. 🔸 Для критичных сервисов рассмотреть географическое резервирование в удалённых регионах или, если это допустимо с учётом требований к данным и безопасности, за рубежом. 🔸 Уточнить у провайдера сроки и условия восстановления после потери площадки. В любом случае усиление физической защиты ЦОДов, географическое резервирование, повышение отказоустойчивости и восстановление повреждённой в результате атак инфраструктуры потребуют дополнительных затрат, которые, вероятно, отразятся на стоимости услуг. Но альтернативы нет: либо платить за надёжность сейчас, либо нести гораздо большие убытки потом из-за простоя и потери данных. ➡️Ⓜ️ MAX | @avleonovrus #Yandex #YandexCloud #DataCenter #Cloud #IaaS #PaaS #iKSconsulting #BusinessContinuity #CriticalInfrastructure #БПЛА #Сасово #Владимир #Калуга #ЦОД #КИИ #decree604

Всю прошедшую неделю мы семьёй отдыхали в Рязани. Город древний, основан в 1095 году. При этом благодаря масштабной перестройке, начатой при Екатерине II, в Рязани чувствуется атмосфера старого имперского города: регулярная планировка, архитектура XVIII-XIX веков, классические фасады и широкие прямые улицы. В общем, всё то, что у нас ассоциируется с Петербургом и что мне так нравится в Твери. 😉 Также при Екатерине II Рязань получила своё современное название. Раньше она называлась Переяславль-Рязанский, а древняя Рязань, давшая имя городу, находилась примерно в 50 км к юго-востоку от современной и была разрушена Батыем в 1237 году. Кстати, слово "рязань" могло произойти от названия местного сорта яблок или яблочных садов, которыми славился край. Рязань сегодня - областной центр с населением около полумиллиона человек и развитой промышленностью. Если что, город Сасово Рязанской области, попавший в новости по ИБ в связи с атакой на дата-центр Яндекса, находится довольно далеко от Рязани - примерно в 200 км. У нас была очень насыщенная программа: каждый день мы посещали по 2-3 мероприятия. Выделю то, что запомнилось больше всего: 🔹 Очень большой, крутой и современный Рязанский исторический музей! 🤩 Три раза туда ходили, чтобы всё осмотреть. Здесь есть экспозиции об истории Земли и природе Рязанского края, освоении космоса, древней истории региона - от эпохи бронзы до Рязанского княжества, жизни Рязанской губернии в эпоху Российской империи, народных костюмах и книжной культуре эпохи Просвещения. Экскурсии очень интересные! В последний день побывали на экскурсии о программе "Алмаз" - советских орбитальных станциях, разработанных под руководством конструктора Владимира Челомея. Они использовались для ведения разведки из космоса. 🔹 Сходили в музей-усадьбу Ивана Павлова, выдающегося физиолога и первого русского лауреата Нобелевской премии. Его отец, Пётр Дмитриевич Павлов, был протоиереем, много лет служил благочинным Рязанских церквей и входил в состав Рязанской духовной консистории. В музее можно узнать, как жила семья высокопоставленного духовного лица в Рязани XIX века. А ещё здесь замечательный ухоженный сад, в котором даже в октябре цветут цветы. 😇 🔹 3 октября, прямо в день рождения Сергея Есенина, попали в Рязанскую филармонию на музыкально-поэтическую программу "Родился я с песнями...", посвящённую 130-летию поэта. Есенин родился в селе Константиново Рязанской губернии и провёл детство на рязанской земле. Образы родного края стали важной частью его творчества. 🔹 Обошли частные музеи на Почтовой улице и в окрестностях: Шоколада, Леденца, Хлеба и "Рязанских тайн Петра I". По экспозиции, экскурсии и мастер-классу больше всего нам понравился музей Хлеба. Освоили там изготовление кренделей! 😅 🔹 В музее сказок "Забава" в Рязанском кремле поучаствовали в интерактивной сказочной программе. Удалось немного побренчать на балалайке. Вещь! 🙂 Теперь хочу себе такую. 🔹 В рязанской школе мозаики "Талисман" учились разламывать стекло с помощью дисковых кусачек и составлять из кусочков изображения. Собрал себе синего жука. Потому что энтомология и software bugs. 😉 Ещё ходили в Рязанский ТЮЗ на "Незнайку" (очень качественно играют!), побывали в художественном музее имени И. П. Пожалостина и на Рязанской ВДНХ. Из местной кухни попробовали калинник - традиционный рязанский пирог, в современном исполнении напоминающий по вкусу и текстуре пряники с шоколадом и ягодной начинкой. В общем, Рязань - очень приятный город: есть что посмотреть, где погулять и вкусно поесть. Наверняка приедем сюда снова. 🙂 Из Москвы в Рязань удобно добираться фирменным экспрессом с Казанского вокзала - дорога занимает примерно 2,5-3 часа. Билеты продаются с указанием места, что большой плюс по сравнению с электричками до Твери. ➡️Ⓜ️ MAX | @avleonovrus #Рязань #offtopic #vacation #travel #trip #family #museum #history #concert #theatre #art #crafts #дыбр #ВДНХ #родительство #космос #Есенин #Павлов #Челомей

(Бунша активирует царскую био-броню.) Милославский. Ура! Голограмма сходится! Напяливай корону со считывателем... Будешь Главным Администратором... Бунша. Ни за что! Милославский. Ты что же, хочешь, чтобы мой чип обнулили? Садись за терминал, бери световой скипетр... Молчи, веди обработку данных! На каком цикле прервался протокол? Главный Администратор Всея ЭВМ-Руси... повторяй... Бунша. Главный Администратор Всея ЭВМ-Руси... (Гермодверь выбивает плазмой. Врываются авто-опричники и Кибер-Дьяк. Замирают.) Милославский (Бунше). Так вы говорите... Главный Администратор? Написал. (Бунше) Продолжайте ввод... Папка каналов "ИБшэчка" - хакинг, OSINT, AppSec и реверс. Добавляйте в Telegram и подписывайтесь... точка с запятой... (Опричникам) Какой паразит выбил гермодверь? Я жду ответа на запрос! Опричники. Обнаружен Главный Администратор! Царь-процессор тут! Кибер-Дьяк. Сигнал подтвержден... Милославский. А где ему быть? Голубчики, разрядить бластеры и положить на пол!.. Не люблю этого... ➡️Ⓜ️ MAX | @avleonovrus #CyberSecurity #InfoSec #OSINT #Pentest #AppSec #Linux #ИБ

Про уязвимость Account Takeover - Telegram Desktop (CVE-2026-107181). Суть в следующем: при открытии жертвой специальной ссылки в веб-браузере Telegram Desktop отправляет локальные файлы пользователя в контролируемый злоумышленником чат. 😱 Таким образом можно похитить файлы сессии Telegram Desktop из каталога tdata, что при определённых условиях (если не установлен локальный пароль приложения) позволяет захватить учётную запись Telegram. Подробное описание опубликовано в блоге BeakSec 3 октября. Эксплуатацию продемонстрировали на Windows-версии Telegram Desktop. Последствия могут не ограничиться угоном аккаунта Telegram. Уязвимость позволяет похищать и другие локальные файлы, доступные пользователю, в том числе рабочие документы, ключи доступа и конфигурации с секретами. С другой стороны, текущую опасность этой уязвимости я бы не преувеличивал. Для эксплуатации нужна версия Telegram Desktop ниже 7.2.9, выпущенной 16 сентября. Учитывая, что Telegram Desktop показывает большую (и весьма бесячую) кнопку при наличии обновлений, которую крайне сложно игнорировать, я что-то сомневаюсь, что сейчас много пользователей Telegram, не нашедших почти за месяц времени прожать эту несчастную кнопку. Хотя на всякий случай проверьте, что у вас используется версия 7.2.9 или выше. 🙂 PS: у вчерашней версии 7.3 лаконичный комментарий "Money". Что бы это значило... 🤔 Пишите свои догадки в комментариях. 🙂 ➡️Ⓜ️ MAX | @avleonovrus #Telegram #TelegramDesktop #Windows #tdata #sessionhijacking #AccountTakeover

Посмотрел, какие продукты удалось и не удалось взломать во второй день хакерских соревнований Pwn2Own Ireland 2026. Во второй день участники атаковали смартфоны, принтеры и МФУ, устройства умного дома, AI-инфраструктуру и умные медицинские устройства. Взломаны ✅ Home Assistant Green - хаб умного дома для платформы Home Assistant. Предназначен для локального управления и автоматизации устройств умного дома через единую систему. ✅ Dynamo - открытый фреймворк для AI-инференса от NVIDIA. Предназначен для запуска и масштабирования генеративных AI-моделей в распределённых средах. ✅ Canon imageFORCE 1643F - лазерное многофункциональное устройство (МФУ) от Canon. Предназначено для печати, сканирования, копирования и работы с офисными документами. ✅ Sonos Era 300 - умная акустическая система от Sonos с Wi-Fi, Bluetooth и поддержкой пространственного аудио Dolby Atmos. Предназначена для воспроизведения музыки и домашнего аудио. ✅ Oracle Autonomous AI Database - облачная автономная база данных от Oracle. Используется для хранения и обработки данных, при этом сервис автоматически управляет рядом задач администрирования, масштабирования, резервного копирования и обновления. ✅ Samsung Galaxy S26 - флагманский смартфон от Samsung на Android. Предназначен для мобильной связи, приложений, работы с интернетом, фото, видео и других повседневных задач. ✅ Lexmark CX532adwe - цветное лазерное многофункциональное устройство (МФУ) от Lexmark. Предназначено для печати, сканирования, копирования и факсимильной связи в офисной среде. ✅ Garmin Index BPM - умный тонометр от Garmin. Предназначен для измерения систолического и диастолического давления и отслеживания показателей через экосистему Garmin. ✅ Chroma - открытая AI-инфраструктура для поиска и работы с данными. Поддерживает хранение embeddings и документов, векторный, полнотекстовый и другие виды поиска и используется для построения AI-приложений. Не взломаны ❌ Brother MFC-L8970CDW - цветное лазерное многофункциональное устройство (МФУ) от Brother. Предназначено для офисной печати, сканирования, копирования и работы с документами. ❌ Google Pixel 10 - смартфон от Google на Android. Предназначен для мобильной связи, приложений, интернета, фотографии, видео и других повседневных задач. ➡️Ⓜ️ MAX | @avleonovrus #Pwn2Own #Pwn2OwnIreland #Pwn2OwnIreland2026 #HomeAssistant #HomeAssistantGreen #NVIDIA #Dynamo #Canon #CanonimageFORCE1643F #Sonos #SonosEra300 #Oracle #OracleAutonomousAIDatabase #Samsung #SamsungGalaxyS26 #Lexmark #LexmarkCX532adwe #Garmin #GarminIndexBPM #Chroma #Brother #BrotherMFCL8970CDW #Google #GooglePixel10 #Cybersecurity #ZeroDay #Research #Offensive #Exploit

На следующей неделе собираюсь принять участие в ежегодной конференции Positive Technologies - Positive Security Day. Мероприятие пройдёт 15 и 16 октября в Парке Горького. Моё 20-минутное выступление запланировано на 15 октября в 15:50. Называться оно будет "Отделить зёрна от плевел: подходы к автоматизированной оценке опасности уязвимостей". В том числе расскажу и про наш перспективный PVSS. 😉 Помимо моего выступления в программе: 🔹 презентации и демонстрации продуктов Positive Technologies - MaxPatrol O2 для автономного SOC, Security Lakehouse для автоматической подготовки данных для ИИ, MaxPatrol Endpoint Security для AI-driven-защиты конечных устройств, PT X для защиты бизнеса с гарантией результата, PT Data Security для защиты чувствительных данных и PT Dephaze для наступательной кибербезопасности; 🔹 ИИ- и ML-разработки компании - от технологий, которые уже работают в продуктах, до экспериментальных проектов и исследований, в том числе в области поиска уязвимостей; 🔹 практические hands-on-зоны и соревнования, где участники смогут тестировать продукты, расследовать инциденты и атаковать ИИ-технологии; 🔹 выступления представителей компании, заказчиков и партнёров о том, как ИИ меняет риски для бизнеса и подходы к защите. ➡️Ⓜ️ MAX | @avleonovrus #PositiveSecurityDay #PSD #PSD2026 #event #PositiveTechnologies #MaxPatrolO2 #SecurityLakehouse #MaxPatrolEndpointSecurity #PTX #PTDataSecurity #PTDephaze #PVSS #SOC #AI #ML

Посмотрел, какие продукты удалось и не удалось взломать в первый день хакерских соревнований Pwn2Own Ireland 2026 по опубликованным результатам ZDI. В первый день участники атаковали смартфоны, принтеры и МФУ, устройства умного дома, AI-инфраструктуру, базы данных и инструменты для разработки. Взломаны ✅ Sonos Era 300 - умная акустическая система от Sonos с Wi-Fi, Bluetooth и поддержкой пространственного аудио Dolby Atmos. Предназначена для воспроизведения музыки и домашнего аудио. ✅ LiteLLM - программный AI Gateway / LLM-прокси с открытым исходным кодом. Позволяет обращаться к различным большим языковым моделям через единый интерфейс и управлять маршрутизацией запросов. ✅ Samsung Galaxy S26 - флагманский смартфон от Samsung на Android. Предназначен для мобильной связи, приложений, работы с интернетом, фото, видео и других повседневных задач. ✅ Philips Hue Bridge Pro - хаб умного дома от Signify для экосистемы Philips Hue. Соединяет и координирует лампы, датчики и другие устройства Hue, позволяя управлять освещением и функциями умного дома. ✅ Lexmark CX532adwe - цветное лазерное многофункциональное устройство (МФУ) от Lexmark. Предназначено для печати, сканирования, копирования и факсимильной связи в офисной среде. ✅ Oracle Autonomous AI Database - облачная автономная база данных от Oracle. Используется для хранения и обработки данных, автоматизации администрирования и масштабирования базы данных. ✅ OpenAI Codex - AI coding agent от OpenAI. Предназначен для разработки программного обеспечения: работы с кодом, выполнения задач в репозиториях, отладки и других задач разработки. ✅ Garmin Index BPM - умный тонометр от Garmin. Предназначен для измерения систолического и диастолического давления и частоты пульса, а также отслеживания показателей через экосистему Garmin. Не взломаны ❌ Brother MFC-L8970CDW - цветное лазерное многофункциональное устройство (МФУ) от Brother. Предназначено для офисной печати, сканирования, копирования и работы с документами. ❌ Google Pixel 10 - смартфон от Google на Android. Предназначен для мобильной связи, приложений, интернета, фотографии, видео и других повседневных задач. ❌ Chroma - AI data infrastructure / векторная база данных с открытым исходным кодом. Предназначена для хранения документов и embeddings, векторного и полнотекстового поиска и построения AI-приложений, включая RAG и AI-агентов. ➡️Ⓜ️ MAX | @avleonovrus #Pwn2Own #Pwn2OwnIreland #Pwn2OwnIreland2026 #Sonos #SonosEra300 #LiteLLM #Samsung #SamsungGalaxyS26 #PhilipsHue #PhilipsHueBridgePro #Signify #Lexmark #LexmarkCX532adwe #Oracle #OracleAutonomousAIDatabase #OpenAI #OpenAICodex #Garmin #GarminIndexBPM #Brother #BrotherMFCL8970CDW #Google #GooglePixel10 #Chroma #Cybersecurity #ZeroDay #Research #Offensive #Exploit

Даже Google не справляется с потоком нейрослопных Bug Bounty-репортов. Компания временно приостановила приём отчётов в своей программе поиска уязвимостей для open source-проектов (OSS VRP), потому что получила огромное количество автоматически сгенерированных заявок. Большинство из них оказались бесполезными или ложными. OSS VRP была запущена в 2022 году и предназначена для поиска уязвимостей в open source-проектах, которые поддерживает Google, например, Go, Angular, Bazel и Fuchsia. За найденные уязвимости компания выплачивала от $100 до $31 337. При этом другие программы Google продолжают работать: 🔹 Patch Rewards Program - программа для тех, кто предлагает исправления для уязвимостей в open source. За наиболее важные исправления можно получить до $15 000. 🔹 Cloud VRP - программа для уязвимостей в open source-коде Google, которые непосредственно влияют на облачные сервисы Google Cloud, например, Compute Engine, Kubernetes Engine или Cloud Storage. Проблема с некачественными сгенерированными отчётами уже затронула и другие компании. Ранее разработчики curl закрыли свою bug bounty-программу на HackerOne из-за огромного количества подобных отчётов. Google планирует изменить правила OSS VRP и рассказать о новых условиях в первом квартале 2027 года. Как по мне, это симптом системного сдвига: автоматическая генерация правдоподобных отчётов об уязвимостях стала настолько простой, что старая модель массового Bug Bounty перестаёт масштабироваться. 🤷‍♂️ Никаких ресурсов на триаж не хватит. Имхо, развитие пойдёт в сторону: 🔸 Ужесточения требований. Если нет рабочего эксплоита, наглядно демонстрирующего понятный и полезный для злоумышленника эффект, репорты не будут приниматься. 🔸 Автоматизация валидации. AI-агенты будут поднимать тестовые среды и практически проверять работоспособность эксплоитов, а всё, что не проходит этот строгий отсев, будет игнорироваться. Иными словами, ИИ неизбежно продолжит генерировать шум, но фильтрация этого шума также будет решаться по большей части с помощью ИИ. ➡️Ⓜ️ MAX | @avleonovrus #Google #BugBounty #OSSVRP #OpenSource #AI #CloudVRP #GoogleCloud #HackerOne #Curl #AISlop #Go #Angular #Bazel #Fuchsia

Посмотрел новый cKEV Index от CyberOK. По названию можно было бы предположить, что это отечественный каталог уязвимостей с признаками эксплуатации в реальных атаках, аналог западных CISA KEV или VulnCheck KEV. Но это не совсем так. Каталог содержит опасные уязвимости, оцененные по методике Urgent Patch Score (UPS). UPS фиксирует проверяемые сигналы - публикации, появление инструментов эксплуатации и сведения об атаках. В итоге уязвимость попадает в одну из фаз: 🔹 Radar - учесть сведения и связь с используемыми продуктами. 🔹 Watch - отслеживать события и провести первичный анализ. 🔹 Track - определить затронутые системы и проверить условия эксплуатации. 🔹 Prepare - подготовить обновление, испытания и временные меры. 🔹 Urgent Patch - ускорить устранение и при необходимости выделить внеплановое окно. 🔹 Emergency / IR - принять экстренные меры и проверить возможные признаки компрометации. Если уязвимость попадает в две последние фазы (Emergency / IR и Urgent Patch), её добавляют в cKEV Index. Также в cKEV Index отображаются: 🔻 cKEV score - число для сортировки очереди, полученное из UPS-сигналов. Чем выше - тем ближе к немедленному действию. 🔻 RWDS (Real-World Danger Score, 1–5) - оценка того, насколько уязвимость опасна на практике: НЕ "что будет, если её проэксплуатируют", а пользуются ли ею на самом деле. От 1 - "публичного эксплойта нет, следов применения атакующими нет" до 5 - "уязвимость массово вооружена (эксплойт-паки), критическое воздействие, интенсивно используется в реальных атаках". Можно спросить: а где, собственно, сам KEV? Т.е. признак, что зафиксированы инциденты с эксплуатацией той или иной уязвимости. В интерфейсе фильтра есть флажок KEV. Но я посмотрел выборку и там в хронологии отображается либо CISA KEV, либо vKEV (VulnCheck KEV). Сюда бы добавить и опцию "KEV от CyberOK", определяемую исключительно по подтверждённым инцидентам... НО это есть только в коммерческом продукте VULNUM, с привязкой к TI и группировкам. 😉 Однако и в таком виде cKEV Index - весьма интересный публичный источник информации по уязвимостям. И что особенно ценно - отечественный. 👍 Представители вендоров, обратите внимание на лицензионные ограничения: запрещается копирование, переработка, распространение, переопубликация и использование материала полностью или частично в коммерческих целях. ➡️Ⓜ️ MAX | @avleonovrus #cKEVIndex #cKEV #CyberOK #CISAKEV #VulnCheckKEV #VulnCheck #KEV #VULNUM #TI #RWDS #UPS

Красочный пример использования AI в атаках. 👾 @avleonovrus

Искусственный интеллект превращает одного хакера в целую армию. Понравился шортс из канала SecurityWeekly. "Это была атака, в результате которой, по оценке исследователей, было похищено более 600 000 данных банковских карт, причем в подавляющем большинстве это были американские карты. А когда исследователи проследили атаку до источника, оказалось, что за ней стоял один человек - насколько я понимаю, проживающий в Китае, - который решил использовать ИИ и задействовал несколько моделей, чтобы одновременно атаковать сотни компаний. И мне кажется, это первый момент, когда все такие: "Ого. Вот оно. Теперь это действительно здесь". И важно понимать, что ИИ - это не магия. Он не добавил этим компаниям каких-то новых уязвимостей. Он нашел уже существующие уязвимости. Это были проблемы, которые у компаний уже были, и ИИ просто продолжал продвигаться через них. [...] И для меня самое страшное здесь то, что, по оценке исследователей, стоимость составляла примерно 25 долларов за атаку на каждую компанию, которую ему удавалось успешно просканировать. То есть мы перешли от мира, где людям приходилось выбирать, кого атаковать, тщательно планировать атаку и тратить недели на исследования, чтобы понять, окупится ли она, к миру, где достаточно нажать пару кнопок, ввести несколько промптов - и теперь можно атаковать всех." Речь идёт о следующем кейсе. В сентябре 2026 года эксперты Gambit Security обнаружили масштабную кампанию атак на онлайн-ритейлеров с использованием автономных AI-агентов. По данным исследователей, финансово мотивированный оператор применял три инструмента - Strix для поиска уязвимостей, Cairn для автономной эксплуатации и Hermes для координации атак. С 10 по 15 сентября было запущено 105 атакующих проектов, как минимум 27 компаний были скомпрометированы в различной степени. Активность началась еще в июле и на момент публикации продолжалась. В большинстве случаев получение доступа занимало менее суток, а иногда всего несколько часов. Злоумышленники получили более 600 000 данных платежных карт как минимум у двух компаний. Еще одним направлением были скрипты для кражи платежных данных: исследователи подтвердили их установку на 19 сайтах и обнаружили признаки использования такой схемы на большем числе ресурсов. Для атак применялись различные техники - от эксплуатации SQL-инъекций и загрузки произвольных файлов до получения доступа к облачным секретам и базам данных. Средняя стоимость атаки на одну компанию составила $25,46, а общие расходы на модели за несколько недель оцениваются в $12 000-$18 000. ➡️Ⓜ️ MAX | @avleonovrus #AI #AIAgents #PaymentData #CreditCards #SQLi #RCE #WebSkimming #Strix #Cairn #Hermes #GambitSecurity #SecurityWeekly

Почему CISO не могут ответить на три самых сложных вопроса совета директоров? Понравилась одноимённая статья в The Hacker News от компании Mesh Security. Статья о проблеме подготовки отчётов CISO для совета директоров. Обычно служба безопасности собирает данные из множества систем - IAM, CSPM/CNAPP, SIEM, EDR, сканеров уязвимостей и SaaS-сервисов - а затем сводит их в таблицы и презентации. Но такой подход не отвечает на три главных вопроса: 🔻 Насколько организация защищена в целом? 🔻 Каков будет реальный финансовый ущерб в случае атаки? 🔻 Улучшилась ли ситуация по сравнению с прошлым кварталом? Проблема не в данных, а в их разрозненности. Традиционные отчёты показывают активность: найденные уязвимости, установленные патчи и обработанные алерты. Но эти показатели не отражают реальный риск. Несколько некритичных проблем в разных системах могут вместе создать критичный путь для реализации недопустимого события в организации. Ситуацию усложняет распространение AI. В инфраструктуре появляется всё больше AI-агентов, нечеловеческих идентичностей, MCP-подключений и автоматизированных инструментов с доступом к корпоративным данным. 🤯 Поэтому автор предлагает строить отчётность вокруг путей атаки, а не количества отдельных проблем безопасности. Для этого CISO следует: 🔹 Определить критически важные активы вместе с бизнесом. Начните с активов, компрометация которых нанесла бы бизнесу наибольший ущерб: хранилищ клиентских данных, платёжных систем, исходного кода, производственной инфраструктуры. Определите их совместно с владельцами бизнес-направлений, а не только с командой безопасности. Этот список станет основой всего последующего анализа. 🔹 Объединить данные уже используемых средств безопасности. Сведите данные об идентичностях, облачной инфраструктуре, конечных устройствах, SaaS и уязвимостях в единое представление. 🔹 Построить реальные пути атаки к этим активам. Для каждого актива покажите, какие человеческие и нечеловеческие идентичности могут получить к нему доступ через последовательность уязвимостей, ошибок конфигурации и других проблем безопасности (экспозиций). 🔹 Расставить приоритеты по масштабу последствий. Неправильная конфигурация средней степени критичности, находящаяся на пути к данным клиентов, важнее критической CVE на изолированном тестовом сервере. Приоритизируйте устранение проблем по тому, какой путь атаки оно перекрывает, а не по отдельной оценке самой проблемы. 🔹 Перевести технический риск в финансовые показатели. Свяжите каждый критически важный актив с оценкой влияния на бизнес, рассчитанной совместно с финансовыми подразделениями и командами управления рисками. Отчёт должен перейти от "количества уязвимостей" к "сумме потенциальных финансовых потерь" - именно таким языком совет директоров уже оперирует при обсуждении других категорий риска. 🔹 Показывать динамику. Покажите, сколько путей атаки к критически важным активам существовало в прошлом квартале, сколько существует сейчас и какие работы по устранению проблем позволили их закрыть. Когда отчёт строится на путях атаки, а не на показателях активности, три сложных вопроса получают конкретные ответы: 🔻 Насколько мы защищены? Вот оставшиеся пути атаки к нашим наиболее критически важным активам. 🔻 Каков будет финансовый ущерб в случае атаки? Вот оценка последствий, если эти пути будут реализованы. 🔻 Мы улучшаем ситуацию? Вот сколько путей было устранено с прошлого квартала и какие меры позволили это сделать. Роль CISO меняется: вместо обоснования расходов он предоставляет данные об измеримом снижении риска. Команда безопасности получает приоритизированный список задач, соответствующий целям руководства. А для анализа и приоритизации путей атак могут использоваться CTEM-системы, такие как MaxPatrol Carbon. 😉 ➡️Ⓜ️ MAX | #CISO #CTEM #ExposureManagement #PositiveTechnologies #MaxPatrol #Carbon #AI #MCP #IAM #CNAPP #SIEM #EDR #SaaS #AttackPath

Сентябрьский Linux Patch Wednesday. Всего 2653 уязвимости. Для сравнения, в августе было 3060. Снижение на 13%. В Linux Kernel на этот раз 812 уязвимостей, в Chromium - 644. Для шести уязвимостей есть признаки эксплуатации в реальных атаках: 🔻 RCE - Gitea (CVE-2026-60004). Gitea - популярная платформа для размещения Git-репозиториев на собственных серверах. Злоумышленник с обычными правами записи в репозиторий может выполнять произвольные shell-команды от имени пользователя операционной системы Gitea. При включённой по умолчанию открытой регистрации даже неаутентифицированный злоумышленник может получить необходимые права, зарегистрировав аккаунт и создав репозиторий. Уязвимость была добавлена в CISA KEV 25 августа. Зафиксирована кампания по эксплуатации уязвимости для установки криптомайнера XMRig. Публичные эксплоиты доступны на GitHub с 29 июля. Уязвимость была исправлена в пакетах ALT Linux 27 августа. 🔻 AuthBypass - Gitea (CVE-2026-20896). Уязвимость позволяет удалённому злоумышленнику обойти аутентификацию и войти в Gitea под другим пользователем, включая администратора. Уязвимость была добавлена в VulnCheck KEV 6 июля. Публичные эксплоиты доступны на GitHub с 2 июля. Уязвимость была исправлена в пакетах ALT Linux 27 августа. 🔻 AuthBypass - Keycloak (CVE-2026-18963). Keycloak - популярная платформа для управления идентификацией и доступом (IAM/SSO). Уязвимость в механизме сброса пароля позволяет неаутентифицированному удалённому злоумышленнику сбросить пароль любого пользователя и захватить его учётную запись без подтверждения по email. Уязвимость была добавлена в VulnCheck KEV 25 августа. Публичные эксплоиты доступны на GitHub с 20 августа. Уязвимость была исправлена в пакетах ALT Linux 20 августа. 🔻 RCE - Chromium (CVE-2026-85046, CVE-2026-87491). Chromium - веб-браузерный проект, лежащий в основе Google Chrome и других браузеров. Уязвимости в JavaScript-движке V8 позволяют удалённому злоумышленнику выполнить произвольный код в песочнице браузера, если пользователь откроет вредоносную HTML-страницу. Обе уязвимости эксплуатируются в реальных атаках и были добавлены в CISA KEV 4 сентября и 9 сентября. Публичные эксплоиты доступны на GitHub с 4 сентября. Уязвимости исправлены в пакетах ALT Linux и Debian с 5 сентября. 🔻 RCE - SPIP (CVE-2026-77806). SPIP - CMS с открытым исходным кодом для создания и совместного редактирования сайтов. Критическая уязвимость позволяет неаутентифицированному удалённому злоумышленнику выполнить произвольный код на сервере. Уязвимость была добавлена в VulnCheck KEV 21 августа. Существует Metasploit-модуль для эксплуатации уязвимости. Уязвимость исправлена в пакетах Debian с 21 августа. Ещё для 205 уязвимостей пока нет признаков эксплуатации в реальных атаках, но есть публичные эксплоиты. Из них можно выделить: 🔸 AuthBypass - FreeIPA (CVE-2026-76578). FreeIPA - решение для централизованного управления идентификацией и доступом в Linux-инфраструктуре (LDAP/Kerberos). Удалённый неаутентифицированный злоумышленник может получить легитимное членство в административной группе FreeIPA и выполнять административные операции с каталогом, а в развёртываниях с включённой поддержкой SID - также с другими сервисами IdM. Публичный эксплойт доступен на GitHub с 9 сентября. Уязвимость исправлена в пакетах ALT Linux с 7 сентября. 🔸 RCE - PHP/Adminer (CVE-2026-56705). Adminer - популярный веб-инструмент для администрирования баз данных, часто разворачиваемый вместе с PHP-приложениями. Уязвимость позволяет неаутентифицированному удалённому злоумышленнику записать PHP-код в корень веб-сервера и выполнить его, то есть добиться RCE. Публичный эксплойт доступен на GitHub с 25 августа. Уязвимость исправлена в пакетах Debian с 16 сентября. 🗒 Полный отчёт Vulristics ➡️Ⓜ️ MAX | @avleonovrus #LinuxPatchWednesday #Linux #LinuxKernel #Chromium #GoogleChrome #Gitea #Keycloak #SPIP #FreeIPA #Adminer #PHP #ALTlinux #Debian #GitHub #CISA #CISAKEV #VulnCheck #Vulristics #Metasploit #XMRig #V8 #LDAP #Kerberos #IdM

Папка каналов IT&AI. Подборка для тех, кто следит за развитием IT и ищет полезные материалы о нейросетях, искусственном интеллекте, программировании, Data Science, кибербезопасности, карьере в IT, запуске проектов и автоматизации. ➡️ Выбирайте интересные каналы или подписывайтесь сразу на всю подборку: https://t.me/addlist/l4nIMn_TWsQwZWNk Ага, это та же папка, что и вчера, - так надо. 😉 Пишите в комменты, из какого фильма исходник картинки. 🙂 ➡️Ⓜ️ MAX | #AI #IT #HRTech #Programming #CyberSecurity

Следующим мероприятием, в котором я собираюсь поучаствовать, будет форум "ПРОВЕРКА НА ПРОЧНОСТЬ: практика анализа защищённости". Это мероприятие пройдёт 14 октября в "Холидей Инн Сокольники". Фактически это спин-офф "Территории Безопасности" с фокусом на работе с уязвимостями во всех проявлениях. 😇 В программе мероприятия - дискуссии, доклады и мастер-классы о реальной оценке защищённости, управлении уязвимостями (и экспозициями), анализе поверхности атаки, выборе методов проверки (аудит, пентест, Red Team, Purple Team, Bug Bounty), применении ИИ и автоматизации, метриках, защите АСУ ТП, проверке подрядчиков и правовых аспектах этичного хакинга. В общем, наконец-то мы дождались большой нейтральной конфы, где VM/CTEM будет непосредственно в фокусе, а не где-то сбоку. 🤩🥳 Мои активности: 🔹 Выступлю с 20-минутным докладом "Трендовые уязвимости в 2026 году: как определить, что действительно важно". Расскажу о различных методах оценки критичности уязвимостей, о трендовых уязвимостях текущего года и о том, как мы в Positive Technologies их отбираем. 😉🤫 🔹 Буду модерировать часовой круглый стол "VM, DETECTION & RESPONSE: Придёт ли к нам реальная автоматизация?". Побеседуем о перспективном и наболевшем в VM/VMDR/CTEM. Со стороны вендоров заявлены Андрей Никонов из Vulns io VM, Дмитрий Черняков из RedCheck, Кирилл Евтушенко из Кауч. Со стороны клиентов заявлены Владимир Мельников из SOC Билайн, Дарина Кривошеева из VK, Иван Советкин из МТС Банк. Состав топовый, должно пройти интересно. Накидывайте в комментарии каверзные вопросы. 😏 Все на ПнП 14 октября! 🏃‍♂️ ➡️Ⓜ️ MAX | @avleonovrus #ПнП #ПнП2026 #breakme2026 #conference #event #VM #VMDR #CTEM #VulnerabilityManagement #VulnerabilityAssessment #VulnerabilityIntelligence #ExposureManagement #AttackSurface #Pentest #RedTeam #BugBounty #EthicalHacking #Automation #AI #АСУТП #PositiveTechnologies #Vulnsio #RedCheck #Couch #Beeline #VK #MTSBank

Папка каналов IT&AI. В подборке собраны каналы про искусственный интеллект, нейросети и AI-инструменты, разработку ПО, Data Science, кибербезопасность, IT-вакансии, стартапы, автоматизацию и управление проектами. ➡️ Выбирайте интересные каналы или подписывайтесь сразу на всю подборку: https://t.me/addlist/l4nIMn_TWsQwZWNk ➡️Ⓜ️ MAX | #AI #IT #HRTech #Programming #CyberSecurity

Сентябрьский "В тренде VM": уязвимости TeamCity, TrueConf, SharePoint, Windows и Zimbra Collaboration. Представляю традиционную ежемесячную подборку трендовых уязвимостей по версии Positive Technologies. В прошлом августовском выпуске было четыре уязвимости. В этот раз их набралось шесть. 🗞 Пост на Хабре 🗒 Дайджест на сайте PT 🔻 RCE - TeamCity (CVE-2026-63077). Активно эксплуатируемая уязвимость в проприетарном решении компании JetBrains, предназначенном для автоматизации сборки, тестирования и развёртывания программного обеспечения. Есть публичные эксплоиты. 🔻 RCE - TrueConf Server (CVE-2026-72529, CVE-2026-72530). Активно эксплуатируемая цепочка уязвимостей в отечественном корпоративном мессенджере и платформе для UltraHD видеоконференций. 🔻 AuthBypass - Microsoft SharePoint (CVE-2026-55040). Активно эксплуатируемая уязвимость в веб-приложении от Microsoft, предназначенном для развёртывания корпоративных интранет-порталов, управления документами и совместной работы. Есть публичные эксплоиты. 🔻 EoP - Windows Ancillary Function Driver for WinSock (CVE-2026-68820). Активно эксплуатируемая уязвимость в компоненте Windows, обеспечивающем работу протокола сетевого взаимодействия Winsock TCP/IP. 🔻 RCE - Zimbra Collaboration (CVE-2026-73570). Активно эксплуатируемая уязвимость в пакете программного обеспечения для совместной работы, включающем почтовый сервер и веб-клиент. Есть публичные эксплоиты. 🟥 Полный список трендовых уязвимостей смотрите на портале ➡️Ⓜ️ MAX | @avleonovrus #PositiveTechnologies #TrendVulns #втрендеVM #BuildAgents #Censys #CICD #CISA #CISAKEV #Deserialization #DevSecOps #Exploit #JetBrains #Metasploit #Rapid7 #REST #TeamCity #Vulnerability #XML #APT #Backdoor #BDU #CodeInjection #CVE #FSTEC #HeadMare #Kaspersky #Malware #PhantomCore #PhantomGraph #PoC #RCE #SandboxEscape #SupplyChain #TrueConf #TrueConfClient #TrueConfServer #AgenticAI #AI #AuthBypass #CyberSecurity #JWT #Microsoft #Pwn2Own #Shadowserver #SharePoint #SharePointServer #VulnCheck #CERTPolska #SMTP #SNMP #Swatchdog #Zimbra

Появились CVE-шки и обновление -^

По поводу сообщений о двух активно эксплуатируемых 0day RCE-уязвимостях в Citrix NetScaler. NetScaler (Citrix NetScaler, Citrix ADC) - это контроллер доставки приложений (ADC), который анализирует, распределяет, оптимизирует и защищает сетевой трафик на уровнях L4-L7, в том числе выполняет балансировку нагрузки. В составе NetScaler также предусмотрена функциональность NetScaler Gateway, которая обеспечивает защищённый удалённый доступ пользователей к корпоративным приложениям и внутренним ресурсам. 25 сентября появились сообщения в Reddit r/Citrix с рекомендацией выключить NetScaler-ы. Упоминались две уязвимости нулевого дня. Один из пользователей сообщил, что эти сведения поступили из предварительного уведомления NCSC-NL (национального центра кибербезопасности Нидерландов), которое распространялось с ограничениями Traffic Light Protocol (TLP): AMBER+STRICT (разрешает делиться только внутри организации). 26 сентября эксперты watchTowr подтвердили сведения об обеих уязвимостях: "Нам стало известно о дополнительной информации, которой мы делимся. Мы и понятия не имели, что системные администраторы Citrix как фанаты GTA6 - такие дружелюбные :) Пожалуйста, направляйте дальнейшие вопросы в Citrix. Мы не являемся Citrix PSIRT (хотя иногда это выглядит именно так). Ожидается, что Citrix опубликуют официальные сообщения и выпустит исправления в начале следующей недели. Две уязвимости - обе позволяют удалённое выполнение кода (RCE). Уязвимости не пропатчены, это zero-day. Они уже эксплуатируются в реальных атаках - их обнаружили в ходе форензики. Как всегда, клиенты watchTowr Platform уже имеют доступ к этой информации и располагают всем необходимым, чтобы снизить уровень риска." По состоянию на 27 сентября официальное уведомление от Citrix опубликовано не было, исправления в настоящее время отсутствуют. Пока не установлено, насколько масштабны атаки. 26 сентября исследователь Кевин Бомонт заявил: "История с уязвимостями нулевого дня в Netscaler реальна, они используются в активных атаках. Исправления пока нет, если для вас уязвимости Netscaler чувствительны, выключите его". Публично доступных индикаторов компрометации (IoC) пока нет. Эти уязвимости нулевого дня, по-видимому, НЕ связаны с CVE-2026-19490 и CVE-2026-19489 - ранее раскрытыми уязвимостями в Citrix NetScaler ADC и NetScaler Gateway, для которых уже доступны исправления. CVE-2026-19490 была добавлена в CISA KEV 9 сентября. Citrix NetScaler исторически был популярной целью атакующих. С учётом CVE-2026-19490 по состоянию на 27 сентября 2026 года в CISA KEV насчитывалось 13 записей, связанных с NetScaler, и 24 записи по продуктам Citrix в целом. ➡️Ⓜ️ MAX | @avleonovrus #Citrix #NetScaler #NetScalerADC #0day #ZeroDay #RCE #watchTowrLabs #Reddit #NCSCNL #KevinBeaumont

На сайте CISA 22 сентября опубликовали документ "Программа CVE: формирование фреймворка эпохи качества". В оригинале "CVE Program: Establishing a Quality Era Framework". Основная проблема, которую они там фиксируют: CVE Program быстро масштабируется, вместе с объёмом уязвимостей растёт нагрузка на процессы публикации, проверки и сопровождения CVE-записей. По состоянию на 18 сентября 2026 года опубликовано более 67 тыс. новых CVE. По данным NVD, число CVE, поступивших на обработку, выросло на 263% в 2020-2025 годах. За первые три месяца 2026 года на обработку поступило на треть больше CVE, чем за тот же период 2025 года. "Ускорение выявления и публикации информации об уязвимостях действительно может повысить её ценность - при условии, что сведения полны, непротиворечивы, своевременны и пригодны для практического использования. Однако более быстрый темп работы одновременно может обнажить недостатки в процессах, инструментах, взаимодействии между участниками и распределении ответственности - особенно если качество поступающих данных сильно различается." Руководство CISA выделяет четыре направления работы: 🔹 управление CVE Program; 🔹 участие представителей экосистемы - CNA, Roots, CNA-LR, исследователи, производители, поставщики инструментов и государственные организации; 🔹 инфраструктура данных - API, схемы, библиотеки проверки и CVE Org; 🔹 качество записей CVE - полнота, точность, своевременность и практическая применимость данных. Для этих направлений определены показатели качества (на иллюстрации) - от времени принятия управленческих решений и надёжности API до доли записей CVE, соответствующих установленным критериям качества, и количества исправлений после публикации (или скорости внесения исправлений? 🤔 Имхо, тут неоднозначно: "Rate of corrections/updates needed post-publication"). "Эпоха качества требует согласованного развития по четырём направлениям: управление программой CVE, участие представителей экосистемы, инфраструктура данных и содержание записей CVE. 🔻 Улучшение содержания записей CVE зависит от чётких требований к данным, эффективных инструментов и активного участия CNA. 🔻 Развитие инфраструктуры данных требует постоянных инвестиций, защищённых и масштабируемых систем, а также обратной связи от пользователей, которые используют эти данные. 🔻 Расширение участия в экосистеме зависит от широкого представительства технологий, отраслей, регионов и сообществ, которые обслуживает программа CVE. 🔻 Совершенствование управления программой зависит от прозрачного управления, дальнейшего организационного развития, совместного участия, эффективности и способности оперативно реагировать на потребности мирового сообщества, занимающегося управлением уязвимостями." Этот документ задаёт рамку для следующего этапа развития CVE Program (читай: по большей части вода-водичка, правильные общие слова и благие намерения без какой-либо конкретики 😉). Описания конкретных изменений обещают выложить в ближайшие месяцы: "в этой серии публикаций будут описаны текущие и планируемые улучшения ключевых компонентов инфраструктуры, обеспечивающих работу программы CVE". Коллегам из ФСТЭК тоже стоит к этой движухе присмотреться и, возможно, что-то перенять для развития БДУ. ➡️Ⓜ️ MAX | @avleonovrus #CISA #CVE #CVEorg #CVEDataFeed #CNA #VulnerabilityFeed #VulnReporting #FSTEC #BDU #SecurityContent #API